URIS - aplikacija za upravljanje IT rizicima

Na početku, dugujem ispriku zbog duljeg izbivanja s ovih stranica. Redovite poslovne aktivnosti i projekti su glavni razlozi izostanka. Glavninu vremena u svibnju i lipnju usmjerio sam na završetak rada na prvoj verziji aplikacije za upravljanje informacijskim rizicima. Aplikacija je razvijena u suradnji s kolegom Joškom Martincem iz tvrtke Adservio. Joško je napravio kompletan programerski posao (izvrsno, dodajem), a ja sam preuzeo brigu oko primjene korištene metodologije i prilagođavanja aplikacije procesu upravljanja informacijskim rizicima. Aplikaciju smo nazvali URIS. Važno je odmah naglasiti da aplikacija koristi javno dostupnu metodologiju upravljanja rizicima MEHARI. MEHARI postoji preko desetak godina, razvijena je u okviru francuske stručne udruge CLUSIF, te je obnovljena 2007. Dokumentacija o samoj metodologiji je dostupna na adresi https://www.clusif.asso.fr/en/production/mehari/mehari.asp. Osobito je zanimljivo da je metodologija objavljena pod GPL licencom. MEHARI je jako dobro opisan u raspoloživoj dokumentaciji (tekstovi i Excel tabele), no svaka ozbiljna primjena iziskuje aplikativnu nadogradnju.

Zbog čega uopće aplikacija za upravljanje IT rizicima? Jedan razlog svakako leži u činjenici da je imalo složeniju metodologiju nemoguće efikasno provesti kroz Excel tablice, a što se pogrešno smatra sasvim zadovoljavajućim tehničkim okvirom za vođenje projekata upravljanja IT rizicima. Drugi, važniji, razlog vezan je na ovaj prvi: iz prakse sam primjetio da korištenje nedovoljno robustnih metodologija neizbježno vodi u trivijalizaciju procesa upravljanja rizicima, što rezultira gubljenjen strateškog značaja kojeg bi upravljanje IT rizicima moralo imati. Korištenje kompleksnih metodologija (MEHARI je, svakako, veoma kompleksna i kompletna metodologija) vodi i boljem prihvaćanju od strane managementa i prisiljava sudionike na savjestan pristup projektu.

MEHARI je baziran na kvalitativnom pristupu koji, zahvaljujući složenom postupku donošenja ocjena, evoluira u polu-kvantitativni (pseudo-kvantitativni?) pristup, čime metodologija svakako dobiva na značaju. Osobito važnim smatram činjenicu da naša aplikacija koristi javno dostupnu i prihvaćenu metodologiju (iako sam bio na preko pola puta u razvoju vlastite metodologije).

Posao na aplikaciji obuhvaćao je, osim automatizacije postupka, nekoliko dodatnih komponenti. Tako je prijevod izvornog teksta svakako pomogao na uvođenju taksonomije pojmova za upravljanje informacijskim rizicima, još uvijek neujednačene u našem okruženju. Nadalje, aplikacija sadrži i različite izvještajne komponente, mogućnost upravljanja postupcima upravljanja rizicima u kontinuiranom razdoblju, kategorizaciju mjera i događaja prema COBIT-u i Basel II specifikacijama... Različiti noviteti su planirani i za slijedeće verzije.

Kome je namjenjena aplikacija? Osobit interes pokazuju svi oni koji iz različitih razloga moraju ispuniti regulatorne zahtjeve u pogledu upravljnaja IT rizicima, a to su prije svega banke (prema Odluci i Smjernicama HNB-a). Iako su mnoge banke postavile temelje procesa upravljanja rizicima, ovakva aplikacija i, prije svega, korištena metodologija omogućuju jednostavniju provedbu procesa upravljanja rizicima. Pored toga, neovisna i međunarodno raširena metodologija pruža dodatno jamstvo o zrelosti postupka upravljanja rizicima.

Neki od čitatelja ovih stranica su već upoznati s ovom aplikacijom, a svima zainteresiranima ću rado pružiti informacije o aplikaciji i korištenoj metodologiji.

Izbor okvira za primjenu Smjernica HNB-a

Nedavno sam odgovarao na pitanje o tome koji je radni okvir prihvatljiviji za primjenu Smjernica HNB-a: ISO 27001/27002 ili COBIT. Čitatelji ovih stranica znaju kako ja često citiram COBIT, no fali li uopće nešto normi ISO 27001/27002, koja je, usput rečeno, puno popularnija i poznatija u našim krajevima?

ISO 27002 je jednostavan dokument, njegove su preporuke zrdravorazumske a mnogi koji ga uzimaju u ruke s namjerom primjene, već nakon desetak stranica s olakšanjem zaključuju kako su gotovo sve odredbe primjenjene ili lako primjenjive u njihovoj okolini. Pored toga, smjernice HNB-a i po volumenu i po detaljnosti veoma podsjećaju na dokument ISO 27002. Bilo bi nepravedno i netočno reći da će neka banka pogriješiti ako normu ISO 27001/27002 iskoristiti za postupak usklađivanja sa zahtjevima HNB-a.

Ipak, treba spomenuti i glavne nedostatke takve strategije.

Prije svega, izborom ISO 27002 kao radnog okvira daje se pogrešna poruka da su Smjernice HNB-a tehničko pitanje, u nadležnosti informatičke službe. ISO 27002, doduše, i u uvodnom dijelu i u dijelu s pregledom kontrolnih mjera predviđa tijesnu vezu s managementom, no ove odredbe, iz više razloga, imaju samo formalnu ali ne i suštinsku snagu. To, naravano, ne bi trebalo biti tako, no treba dosta snage u primjeni norme ISO 27001/27002 kako bi se management pretvorilo u kvalitetne i strpljive sugovornike.

Smjernice HNB-a dodjeljuju izuzetno važnu ulogu procesu upravljanja informacijskim rizicima. Ovaj dio, sagledan s odredbama o odgovornosti uprava banaka i potrebi revizije informacijskih sustava, smatram najznačajnijim faktorom primjene Smjernica HNB-a. Upravo iz ovog razloga, COBIT može biti od velike pomoći. COBIT ne samo da opisuje kontrolne mjere i praksu koje se odnose na upravljanje rizicima i obveze managementa, već je sve donedavno njegova glavna primjena bila baš u postupku revizije. Pred toga, COBIT danas pruža i djelotvorne instrumente za mjerenje uspješnosti primjene i pridržavanja svih procesa predviđenih smjernicama HNB-a. Time je uspostavljena povratna veza između operativne i strateške razine odlučivanja.

Na kraju, mislim da je jedna od prednosti COBIT-a i ta što u sebi ne uključuje i ne podrazumijeva službenu certifikaciju. Dosadašnji model isigurnosnih certifikacija pružaju tek minimalna jamstva da je objekt certifikacije zaista i siguran.

Naravno, primjena COBIT-a je veći zalogaj koji ne vole svi žvakati. Pored toga, razmišljanje da su regulatorni zahtjevi, u ovom slučaju HNB-a, ovdje radi vas a ne radi regulatora, u današnjim je vremenima možda ipak preidealističko. No, trud bi vam se mogao isplatiti, a što se tiče ideala - treba iskoristiti svaku priliku za njihovo potvrđivanje.

Reafirmacija "risk-managementa"

"IT risk-management" ili upravljanje informacijskim rizicima sagledava se ponajprije kao aktivnost koja se odvija unutar operativne razine informacijskog sustava, kao prvenstveno tehnička disciplina, s minimalnom (tek neophodnom) interakcijom s upravljačkim procesima. Iako je risk-management ugrađen u temelje informacijske sigurnosti, naročito u procese upravljanja informacijskom sigurnošću, postoji latentna prijetnja deformacije ili čak minorizacije njegovog značenja. No trendovi koje donosi "Enterpise Risk Management" i zahtjevi ugrađeni u Basel II potiču reafirmaciju discipline upravljanja informacijskim rizicima, stavljajući je u kontekst upravljačkih procesa i povezujući je s upravljačkim procesima organizacije. No, ovaj put je ta veza postaje suštinska.

Usporedimo tradicionalnu poziciju upravljanja informacijskim rizicima. Nositelji procesa bili su predstavnici informatičkih službi. Glavni cilj bio je propisati kontrolne mjere (za što je dovoljno i pametno prepisivanje "best practice" dokumenata), ali uz adekvatne prioritete (upravo zbog toga "best practice" treba pojačati s poslovnim pogledom na potencijalne posljedice, tj. upravljati rizicma). Ipak, "risk management" je infomatičarima uglavnom izgledao trivijalano, a prakticirao se prije svega u kontekstu upravljanja kontinuitetom poslovanja. Njegova prava primjena u drugim segmentima informacijske sigurnosti uglavnom je izostajala (bez obzira na "best practice" dokumente ili profesionalne norme koje su inzistirale na "risk managementu").

"Risk management" je, dakle, gotovo banaliziran i trivijaliziran. No, tržišna regulacija i "Corporate Governance" incijative pojačavaju odgovornost rukovodstva, a time ponovo oživljavaju značaja "IT risk-managementa". Naime, upravljanje rizicima je važan instrument korporativnog upravljanja, a upravljanje informacijskim rizicima integrira se u taj instrument. Kao što sam već pisao na ovim stranicama, kod nas se ova incijativa pojavljuje kroz Smjernice HNB-a, a Odlukom HNB-a iz 2007., upravljanje rizikom informacijskog sustava mora biti uspostavljeno kao složen proces koji će obuhvaćati njegovu procjenu ali i njegovo kontinuirano praćenje. Ovo poglavlje Odluke mora biti provedeno do kraja ove godine.

Kako će banke odgovoriti na ovaj zahtjev? Prije svega, smatramo da se na ovaj zahtjev ne smije gledati površno, a banke ne bi trebale pristupiti samo sa ciljem jednokratnog i formalnog ispunjavanja obveze. Glavni problem predstavlja čijenice da mnoge banke nisu sasvim sigurne kome treba delegirati odgovornost za provedbu ovog zahtjeva. Gledajući terminološki, postojeće bankarske službe za upravljanje rizicima nameću se kao prvi kandidati. No, ove se službe se bave prije svega kreditnim rizicima, dok su operativni rizici (gdje treba ubroji i informacijske rizike) po svom karakteru i metodama upravljanja nešto drugo. Osim toga, kod informacijskih rizika dolazi do izražaja njihova horizontalna disperziranost među različitim organizacijskim procesima banke što sa sobom vuče potrebu "političke" spretnosti u provedbi procesa. Služba informacijske sigurnosti puno je bliža stručnom aspektu upravljanja rizicima, no pitanje je li u našim bankama uspjela dobiti na "političkoj" težini. (Napomena: pojam "politički" se, naravno, odnosi na organizacijske odnose unutar banke, a ne na parlamentarne odnose).

Nakon prvog koraka, određivanja nositelja procesa, slijedi njegova realizacija. Postoji nekoliko mogućih pristupa, no smatram da prije toga treba postaviti cjeloviti okvir provedbe Smjernica HNB-a (o čemu sam nedavno pisao). Na taj način će se modelirati mnogi važni elementi potrebni za uspostavu upravljanja rizikom informacijskim sustavima. Naročito bi trebalo inzistirati na uspostavi procesa provjere kontrolnih mjera koje bi trebale proizaći iz upravljanja rizicima ("compliance"). Sama aktivnost procjene rizika, koja bi inača izgledala kao tehnički zahtjevan zadatak, svesti će se na razumnije proporcije i postati prihvatljiviji zalogaj. Upravljanje informacijskim rizicima će, unatoč probavljivijim proporcijama, dobiti na svojoj težini i strateškom značaju.

COBIT: temelj za provedbu smjernica HNB

U završnom zapisu iz 2007. godine naveo sam najznačajnije događaje u informacijskoj sigurnosti za Hrvatsku. Jedan od događaja je i objava odluke Hrvatske narodne banke o primjerenom upravljanju informacijskim sustavom iz kolovoza 2007. Ova odluka osnažuje Smjernice HNB-a iz 2006. propisujući pojedinačne rokove realizacije za svako područja upravljanja informacijskim rizicima. Naravno, bankari su ove zahtjeve dočekali na različite načine. S jedne strane, neki su ukazali na dodatno opterećenje - ionako opterećenih - informatičkih službi u bankama. S druge strane, dalekovidniji/optimističniji se nadaju da bi ovi propisi mogli unijeti dodatnog reda u, ponekad, kaotično i improvizirajuće upravljanje informacijskim sustavima.

Tko bi trebao biti nositelj incijative za provedbu smjernica HNB-a? Kandidata ima nekoliko. IT služba se nameće nekako prirodno. No, smjernice prelaze okvire informatičkih odjela. Upravljanje rizikom informacijskog sustava, barem po imenu, ulazi u područje odgovornosti sektora koji se bave rizicima. Upravljanje kontinuitetom poslovanja obuhvaća posebene stručne timove ali dodiruje i poslovanje banaka u cjelini. Nemojte zaboraviti ni internu reviziju koja će ovim smjernicama dobiti nove obveze - reviziju informacijskog sustava.

Da bi provedba smjernica postala zajednički zadatak svih spomenutih strana, banke moraju izabrati zajednički radni okvir utemeljen na opće prihvaćenom standardu.

Čemu se treba okrenuti? Ja sam namjere smjernica HNB-a komentirao u studenom prošle godine na CIO konferenciji u Zagrebu i Ljubljani, te sam istaknuo da se smjernice moraju pročitati kao inovativni poticaj koji će pomoći u provedbi IT Governance incijativa. Zapravo, IT Governance mora biti opći okvir čije bi donošenje i provedba trebalo ako ne prethoditi, onda barem olakšati provedbu samih smjernica. Stoga se kao najbolje rješenje za radni okvir kod provedbe smjernica HNB-a nameće COBIT. COBIT u sebi sadrži mehanizam za izbor i praćenje provedbe kontrolnih mjera. Dakle, biti će od velike pomoći u početnoj fazi provedbe smjernica - upravljanju rizikom informacijskog sustava. Izbor kontrolnih mjera poslužiti će odjelu interne revizije za uspostavu metodologije revizije informacijskog sustava, ali i za provedbu same revizije. Nadalje, COBIT sadrži i mnoge alate pomoću kojih je moguće provesti potrebne mjere. Mislim prije svega na publikacije koje objavljuje ITGI Institute, a posebno su inspirativni IT Control Objectives for Basel II: The Importance of Governance and Risk Management for Compliance i IT Control Objectives for Sarbanes-Oxley. Pogledajte svakako i COBIT Mapping: ISO/IEC 177995:2005 With Cobit 4.0 zato što jako dobro ilustrira komplementarnost dviju općeprihvaćenih normi, te ukazuje područja u kojima je uloga COBIT-a nenadomjestiva (mislim na procese praćenja uspješnosti provedbe i kontinuiranog nadzora sigurnosnih procesa).

(NAPOMENA: Neki od gornjih dokumenata su dostupni samo članovima ISACA-e)

Primjenom COBIT-a postiže se nekoliko doprinosa. Prvo, snizuju se troškovi postupka provedbe. Drugo, ugrađuje se mehanizam za djelotvornu provjeru provedenih mjera, čime se već sada stvaraju preduvjeti za niže troškove budućih redovitih revizija. Treće, uprava će moći u kratkom roku primjeniti neophodne IT Governance procese. Pored toga, treba predvidjeti da će se s vremenom pojaviti i dodatni regulatorni zahtjevi. Primjenom COBITA već u ovoj fazi obavili ste skoro polovicu budućih zadataka.

Pogled na 2007. godinu

Pogled unatrag na godinu koja je na izmaku, izuzetno je neoriginalan način zaključivanja tekuće godine i pripreme za slijedeću. No, s obzirom da ove stranice nisu bile ažurne kako sam planirao prije pokretanja bloga, dozvoljavam si ovu neoriginalnost i na kraju godine objavljujem pogled na informacijsku sigurnost u 2007. u Hrvatskoj.

Ako informacijsku sigurnost sagledavamo kroz sigurnosne incidente, onda svakako moramo biti zadovoljni što je Hrvatska još uvijek izvan matrice tipičnih incidenata koji su u svijetu dominirali ove godine. Dakle, u Hrvatskoj nije bilo slučajeva gubitka ili krađe podataka velikih razmjera koji bi ugrozili privatnost naših građana, a takvih je događaja u međunarodnim razmjerima bilo izuzetno puno (s, ponegdje, katastrofalnim posljedicama - pogledaje pregled deset najvećih u 2007. na ovoj stranici). No, kada kažem da nije bilo takvih slučajeva, onda moram naglasiti da nije bilo zabilježenih slučajeva. Kod nas se još uvijek smatra da su se sigurnosni incidenti dogodili tek kada je netko direktno osjetio posljedice. Nažalost, incidenti u infomacijskoj sigurnosti postoje i onda kada ih direktno ne zamjećujemo, a mnoge zamjećujemo tek sa znatnim vremenskim odmakom i ponekad veoma posredno. Ipak, smatram da doista nije bilo incidenata velikih razmjera, no ponajprije zahvaljujući činjenici da potencijalni dobitak nije dovoljno atraktivan napadačima (zbog manjeg tržišta, što sa sobom podrazumijeva i manji opseg potencijalnih žrtava, npr. kada govorimo o krađi identiteta "phishing" napadima).

Ipak, takav trend neće trajati vječno, a dokaz je i oblik računalnog kriminala koji je dominirao medijima u Hrvatskoj ove godine. Vjerujem da pamtite slučajeve prijevara na bankomatima koje su pogodile nekoliko hrvatskih banaka i mnoge njihove klijente. Rekao bih da je takvih slučajeva bilo više nego u proteklim godinama, a to može argument koji nas upućuje da ekonomija računalnog kriminala opravdava napadačima ulazak i na naše "tržište": rezultati neće možda biti opsegom značajni kao na tržištu od nekoliko desetaka miljuna potencijalnih žrtava, no troškovi realizacije napada su sve niži a mogućnost zadržavanja anonimnosti napadača jednako visoka, pa možemo očekivati da će se takvi incidenti proširiti i na "moderne" oblike računalnog kriminala (ako uopće smijemo zloupotrebe na bankomatima nazvati nemodernim).

Treba spomenuti i drugi slučaj koji je vladao naslovnicama novina. Zaposlenici jedne velike banke isplatili su veliki iznos u "cashu" osobi na temelju falsificiranih podataka o identitetu (tj. falsificirane putovnice). Iako sredstvo pomoću kojeg je napravljena prijevara ne spada u računalni resurs (falsificirana je putovnica a ne digitalni identitet), ovaj je slučaj školski primjer "insiderskog" računalnog kriminala, zato što su, prema novinskim napisima, počinitelji - zaposlenik/zaposlenici banke, došli do ključnih informacija uvidom u bazu podataka (moram istaknuti da sam o cijelom slučaju isključivo upoznat na temelju novisnikih napisa i nije mi poznat nikakav drugi detalj o načinu izvršenja). Po svemu sudeći, radi se o zloupotrebi ili pogrešnoj dodjeli pristupnih prava informacijskom sustavu, možda i o socijalnom inžinjeringu te nepoštovanju propisane procedure. Također, ovaj slučaj nam govori o potencijalnim nedostacima korištenja tradicionalne tehnologije (identifikacija putovnicom) u kombinaciji s informacijskom tehnologijom.

Godina na izmaku je donijela i dvije novosti na području zakonske regulative: Odluku HNB-a o primjerenom upravljanju informacijskim sustavom i Zakon o informacijskoj sigurnosti.

Odluka HNB-a, koju treba čitati u kontekstu ranije objavljenih Smjernica HNB-a za upravljanje informacijskim sustavom u cilju smanjenja operativnog rizika (iz 2006.) značajno će utjecati na provedbu mjera informacijske sigurnosti u bankama te pridonosi stvaranju pozitivnih trendova u upravljanju informacijskim rizicima, a kakvi postoje u svijetu već nekoliko godina. Vjerujem da će ubrzo i druga državna tijela ili agencije morati regulirati pitanja informacijske sigurnosti na sličan način (sukladno dostignućima EU).

U srpnju je izglasan i Zakon o informacijskoj sigurnosti. Ovaj zakon bi trebao potaknuti uređenje problematike sigurnosti informacija za tijela državne vlasti. Kad kažem potaknuti, onda ukazujem na činjenicu da se pitanja sigurnosti moraju rješavati brojnim provedbenim aktima (standardi i pravilnici), a koje i sam zakon (koji ima tek nekoliko stranica) predviđa. Stoga, u ovom trenutku ne možemo reći da je zakon imao neki osobiti učinak jer treba pričekati provedbene dokumente. Zakon predviđa donošenje provebenih dokumentata u roku od 6 mjeseci, što bi trebalo značiti do kraja siječnja 2008. Naravno, ne očekujem ove dokumente u predviđenom roku, no iskustvo nam govori da bi donošenje pravilnika kao i realizacija ovog zakona mogla biti veoma dugotrajna i teška. Iskreno se nadam da će me praksa demantirati i u tom ću slučaju svakako priznati pogrešnu procjenu.

Na kraju obećanje za 2008: obećajem da će stranice ovog bloga biti puno ažurnije!

Pozicioniranje odgovornosti za informacijsku sigurnost

Tema jednog od ranijih napisa bila je odgovornost za provjeru stanja sigurnosti informacijskog sustava. Tom prilikom je rečeno da provjera valjanosti sigurnosnih mjera mora biti u nadležnosti odjela koji upravlja sustavom informacijske sigurnosti i da bi, radi vjerodostojnosti same provjere, takve aktivnosti trebale biti neovisne od drugih strana čiji se rad provjerava (prije svega od odjela informatike). No, u neposrednoj vezi s ovim problemom pojavljuju se najmanje tri pitanja:

1. Kako organizacijski pozicionirati odjel koji upravlja informacijskom sigurnošću?
2. Kakvim ovlastima ovaj odjel mora biti naoružan?
3. Kako će ovaj odjel odrediti uspješnost sigurnosnih mjera?

U odgovoru na prvo pitanje treba reći da je samo manji dio domaćih tvrtki pozicionirao odjel informacijske sigurnosti izvan službe informatike. Radi se uglavnom o bankama (iako ima izuzetaka i u nefinancijskom sektoru), i to ponajviše zato što je prošlogodišnja incijativa HNB-a, između ostalog, jasno istaknula zahtjev o neovisnom položaju "security officer-a". Tvrtke koje su propustile napraviti takvu reorganizaciju postigli su možda zadovoljavajuću kvalitetu sigurnosti informatičkih tehnologija, no suočavaju se s problemom ograničenog utjecaja na sigurnost informacija, a od sigurnosne nepogode dijeli ih možda samo korak.

No, pokretanje neovisnog odjela informacijske sigurnosti i njegovo pozicioniranje izvan IT-a nije, samo po sebi, jamstvo uspješnog rada. Ostaje niz pitanja: je li uprava samo formalno zadovoljila uvjete regulatora ili sigurnosnih normi, a novopokrenuti odjel lišila stvarnih ovlasti... je li zaista osigurala zadovoljavajuću razinu kompetencije, ali i primjeren proračun... je li novopokrenuta služba u pravom smislu neovisna ili je pozicionirana unutar nekih drugih odjela (npr. upravljanja rizicima, odjela opće sigurnosti, interne revizije...) a da pri tome nema dovoljnu neovisnost? Stoga, uprava mora dati jasan odgovor na drugo pitanje, odabrati kompetentne ljude i ovlastiti ih na adekvatan način.

Ali ni to nije sve. Odjel informacijske sigurnosti vidi često dosege svog angažmana isključivo kroz izradu pravilnika, pokretanja radnih procedura i podupirajuće, ponekad samo formalno, sudjelovanje u drugim poslovnim procesa. To je, naravno, nužno za uspjeh programa sigurnosti ali ne i dovoljno. Praćenje i mjerenje uspješnosti sigurnosnih aktivnosti i specifičnih mjera mora biti jedna od glavnih obveza odjela informacijske sigurnosti. Nije dovoljno postići usklađenost sigurnosnog sustava tvrtke s regulatornim zahtjevima ili sigurnosnim normama, baš kao što nije dovoljno investirati, ponekad i značajne iznose, u sigurnosnu tehnologiju. Karika koja nedostaje u ukupnom uspjehu je kontinuirano praćenje i upravljanje svim postignućima koje je proveo ili incirao odjel informacijske sigurnosti.

Naše su tvrtke za sada zagrizle u pitanje pod brojem 1, a neke su to pitanje i uspješno riješile. No, tek se manji tvrtki suočio i s preostalim pitanjima.

Netko će reći "Sve je u redu dok nema posljedica", no nadam se da je management svjestan da je ovo pogrešan odgovor na bilo koje pitanje postavljeno na ovom mjestu.